¿Qué es Compliance?

Puedo imaginar en algunos de los muchos lectores interesados en el tema (tengan experiencia o desconozcan de qué estoy hablando) que lo que se van a topar en esta primera publicación va a sonar mucho a teoría. Y no les culpo. Pero considero que puede estar bien una breve introducción con un carácter académico para que poco a poco se vayan familiarizando con algunos términos. No se preocupen, Compliance es algo muy dinámico, y lo que se encuentren aquí va a ser de todo, menos pesado. Sin más dilación, empezamos.

Actualmente, llevamos desde 2015, trabajando en esta interesante rama llamada Compliance; desde 2010 con el ámbito de la responsabilidad penal de la persona jurídica (en adelante, RPPJ), de la que iremos hablando y; desde 2016 con la primera sentencia del Tribunal Supremo y bisiesta (STS nº154/2016, de 29 de febrero), que condenó penalmente a una empresa por un delito contra la salud pública, y que por una obiter dicta en el voto particular, respecto de algunos pronunciamientos en la sentencia, no privó a dichos pronunciamientos del importante valor interpretativo con la vigencia de la RPPJ.

Con el gran número de obras publicadas de referencia en la materia hasta el día de hoy,  existen múltiples definiciones sobre qué es Compliance (1). Hasta la fecha, podemos, a ciencia cierta, decir que es una práctica empresarial cada vez más latente, y no es menos ahora, como consecuencia del COVID-19. Quizá la definición más empleada sea actuar conforme a la Ley (2). Sin embargo, un sector de la doctrina española, acepta dicho término, por muy vago e inexpresivo que sea y del que de todos modos contamos con definiciones que nos sirven de guía (3). Entre alguna doctrina, como la alemana, habla de un sistema de medidas que las empresas deben hacer cumplir, y que se asocia a un sistema de infracciones y sanciones. Es decir, procedimientos para la protección organizativa o para el cumplimiento de exigencias legales (4).

Estaríamos hablando, acogiéndonos a la terminología acuñada por la doctrina, de “cultura de cumplimiento”(5), que se basa en “la necesidad de que las personas jurídicas se doten de sistemas o modelos de gestión y control orientados a minimizar los riesgos de incumplimiento, es decir, minimizar los riesgos de sufrir sanciones, multas, contingencias y daños reputacionales. O dicho de otro modo, significa que la organización se dote de un sistema eficiente de prevención y control ante posibles incumplimientos normativos, siendo capaz de detectar con antelación los riesgos en los que la empresa pueda ser susceptible de incurrir, implantando unos controles efectivos para su mitigación (6). 

A todo ello, tenemos que hacer referencia a la autorregulación, entendida por algún autor, como el resultado de la necesaria evolución del modo en que el Estado regula el mundo empresarial (7). Por tanto, se entiende que es necesario que las empresas se autorregulen a la luz de ese complejo entramado prescriptivo. Y nos referimos a las normas y leyes que implican un control interno, tales como las relativas a la Protección de Datos Personales, (con el que actualmente contamos con dos elementos importantes, como es la Ley Orgánica 3/2018, de 5 de diciembre, y la figura del Delegado de Protección de Datos), Prevención de Blanqueo de Capitales, Derecho de la Competencia o como es en este caso, la Prevención de Delitos. Es por ello, que han de crear sus propios programas de cumplimiento (Compliance programs) o sistemas de gestión (8).

A pesar de ello, la implicación del Estado en la regulación adecuada de las estructuras empresariales, se ha visto afectado por varios factores: como el aumento de la complejidad social, el desarrollo tecnológico, el proceso de globalización y la crisis del Estado social (9). Como consecuencia de éstos, el Estado no dispondría de recursos financieros suficientes para asumir los costes que comportan los procesos de regulación.

Pese a ello, la autorregulación pasaría a dar un cambio en la estrategia de la regulación (10). La idea es básica: si el Estado no es capaz de regular desde fuera a las empresas, probablemente la mejor estrategia a emplear, sea valerse de ellas para cumplir con sus objetivos. Esto significa, que el Estado estaría delegando sus funciones en las propias empresas para que procedan al procedimiento de regulación. Cuando sucede esta delegación controlada normativamente (11), estamos hablando de una autorregulación regulada (12) (enforced self-regulation). Ergo, se trata de incorporar en las personas jurídicas los fines e intereses predeterminados por el Estado (13). De ahí, que será el propio sujeto jurídico quien tendrá que determinar sus propias estrategias de control y vigilancia, confiando en que la diligencia por confeccionar y aplicar estos programas sea valorada positivamente por el juzgador (14).

Como podemos ver, la RPPJ tiene como consecuencia la instauración de la autorregulación, que según algún autor, motiva a las empresas a incrementar el nivel de autorregulación y de los mecanismos de gestión y organización con el fin de evitar la comisión de delitos, o por lo menos, reducir mínimamente su riesgo (15).

Con todo esto, llegamos a la reciente STS nº 35/2020 de 6 de febrero de 2020, FJ 2º (Ponente: Vicente Magro Servet) que define la naturaleza jurídica del Compliance del siguiente modo: "conjunto de normas de carácter interno, establecidas en la empresa a iniciativa del órgano de administración, con la finalidad de implementar en ella un modelo de organización y gestión eficaz e idóneo que le permita mitigar el riesgo de la comisión de delitos y exonerar a la empresa y, en su caso, al órgano de administración, de la responsabilidad penal de los delitos cometidos por sus directivos y empleados."

Como es de ver, cuando se refiere a las normas internas para implementar un modelo de organización y gestión eficaz, nos habla de la autorregulación, basada en normas, conocidas como "soft law" y "hard law". Es decir,  las primeras como normas o reglamentaciones sin fuerza legalmente vinculante (políticas, protocolos, códigos éticos, estándares, directrices, guías...) y que son esenciales para el desarrollo y diseño de un modelo de gestión y organización, y las segundas como instrumentos y leyes con vínculos legales que regulen la actividad de Compliance.

Así las cosas, espero que haya sido de utilidad esta introducción a la materia, os haya aportado interés, reflexión, cuestiones, etc., y no perder el hilo conductor de lo que se vaya publicando. Un abrazo a todos, Compliancers. Nos vemos.

NOTAS

(1) Como recoge FORTUNY, M; “¿Qué sabemos del origen del Compliance Penal, el concepto de moda?” en www.diariojuridico.com. (consultado el 13 de febrero de 2017) Los compliance nacieron en EE.UU en los años 70 y 80, tras los escándalos de corrupción y financieros que afectaron a compañías importantes, como el caso de Lockheed Corporation, sobre soborno a altos funcionarios extranjeros. Tras estos escándalos se dicta la Foreign Corrupt Practices Act de 19 de diciembre de 1977, que incluyó disposiciones anti-soborno y prohibiciones en materia de libros y registros. De esta ley, surgió el Commitee of Sponsoring Organizations of the Treadway Commission para proporcionar el liderazgo y orientación sobre el control interno y la gestión de los riesgos empresariales. Respecto a la constitución del sistema legal norteamericano en relación al Compliance, vid. también PASCUAL CADENA, El plan de prevención, op.cit, p.146. El autor destaca que en Estados Unidos, el compliance ha sido durante décadas un modo de cultura y de directrices o criterios de castigo a las personas jurídicas, o como se dice originariamente “Sentencing guidelines”. Estas directrices se introdujeron con la Sentencing Reform Act, como también de la Organizational Guidelines, que establecen la atenuación de la pena para las empresas que lleven incorporadas el Compliance. Desde 2004, llevan incluidas normas de Effective Compliance and Ethics Program Comprende el autor, que la sociedad de la información es uno de los valores de la cultura americana y jurídica. El ejemplo más visible es la Comisión de Sentencias de los Estados Unidos. En estas directrices se analizan las conductas delictivas y los elementos procesales.
(2) PRITTWITZ, C; “La posición jurídica (en especial, posición de garante) de los compliance officer”, en KUHLEN, L, MONTIEL, JUAN PABLO y ORTIZ DE URBINA GIMENO, I (eds.) Marcial Pons, Madrid y otros, 2013, p.208. Prittwitz hace una referencia a la etimología del concepto compliance, que es sustantivo del verbo to comply. En la traducción alemana es sich fügen (obedecer, someterse). En inglés americano se define el verbo to comply como el actuar de acuerdo a una solicitud, a una regla, a una voluntad o hacer lo que es debido.
(3) NIETO MARTÍN, A; “Problemas fundamentales del cumplimiento normativo en el Derecho penal” en KUHLEN L, PABLO MONTIEL, J y ORTIZ DE URBINA GIMENO, I (eds.) Compliance y teoría del derecho penal. Ed. Marcial Pons, Madrid y otros, 2013, p.23. Nieto Martín entiende que el cumplimiento es actuar conforme a la legalidad, entendiendo también por legalidad el cumplimiento de obligaciones civiles y directrices internas de la empresa. Así ve el autor cómo un término simple se convierte en algo rico y complejo cuando se contempla cómo actúa el cumplimiento normativo más allá del ordenamiento jurídico que puede incluso tener su origen dentro de la empresa; CIGÜELA SOLA, La culpabilidad colectiva, op.cit, p.342. En el presente caso, el autor realiza una doble distinción a la hora de hablar del Compliance: En primer lugar, lo considera como un concepto genérico, referido a toda aquella actividad empresarial destinada a fomentar los valores éticos en la empresa, a llevar a cabo una actividad sostenible, establecer códigos internos de conducta y fomentar la transparencia; y, en segundo lugar, en un sentido penal del término, hace referencia al compliance como el intento de establecer un sistema de prevención, control y detección de riesgos penales, así como adecuar la estructura empresarial. Por si no fuera suficiente, el autor también categoriza el fenómeno del compliance de dos maneras: la primera, como aquellas medidas que se han de tomar de forma permanente para la prevención criminal (compliance estructural); la segunda, como un conjunto transitorio de operaciones destinadas a re-programar una estructura organizativamente deficitaria de cara a adecuarla a las exigencias del ordenamiento penal, las cuales, una vez concluido dicho proceso, desaparecen (compliance transitorio). En conclusión, el primer modo de entender el compliance es como un buen sistema de control y prevención de riesgos que la empresa debe mantener de modo permanente. Y el segundo, como el diagnóstico de riesgos que realiza el auditor externo por ejemplo, respecto de la formación de trabajadores, con propuestas de implantación de sistemas de control mejorados.
(4) KUHLEN, L; “Cuestiones fundamentales de compliance y el derecho penal” en KUHLEN, L, MONTIEL, JUAN PABLO, ORTIZ DE URBINA GIMENO, I (eds.) Compliance y teoría del Derecho penal. Ed. Marcial Pons, Madrid y otros, 2013, p.51. Kuhlen considera que el compliance no es nada nuevo, ni que tampoco se le relacione con el Derecho penal, es decir, de evitar la violación de normas reforzadas con la consecuencia jurídica de la pena.
(5) GÓMEZ-JARA DÍEZ, C; El Tribunal Supremo ante la Responsabilidad Penal de las Personas Jurídicas. El inicio de una larga andadura. Ed. Aranzadi, Navarra, 2017, p.72.
(6) ABIA GONZÁLEZ, R y DORADO HERRANZ, G; Implantación practica de un sistema de gestión de cumplimiento-compliance management system. Ed. Aranzadi, Navarra, 2017, p.35.
(7) COCA VILA, I, “¿Programas de Cumplimiento como forma de autorregulación regulada? En SILVA SÁNCHEZ, JESÚS-MARÍA (Dir.) y MONTANER FERNÁNDEZ (coord.) Criminalidad de empresa y compliance. Prevención y reacciones corporativas. Ed. Atelier, Barcelona, 2013, p.45.
(8) GÓMEZ-JARA DÍEZ, C, “La culpabilidad..., op.cit, p. 203. El autor explica de forma concisa lo que expone la doctrina alemana respecto a la denominación de criminal compliance. Señala la influencia en esta materia en el ámbito del Derecho penal de personas físicas y jurídicas, analizando los elementos tradicionales denominados programas de cumplimiento. Al respecto, vid. ROTSCH, T; “Criminal compliance”, en InDret 1/2012, p. 1 y ss. (consultado el 15 de octubre de 2016)
(9) COCA VILA, ¿Programas de cumplimiento..., op.cit, p.46; GÓMEZ-JARA DÍEZ, C; “Fundamentos de la responsabilidad penal de las personas jurídicas” en BAJO FERNÁNDEZ, M, FEIJOO SÁNCHEZ, BERNARDO JOSÉ y GÓMEZ-JARA DÍEZ, C; Tratado de responsabilidad penal de las personas jurídicas, 2a ed. Aranzadi, Navarra, 2016, pp.92-93. El autor presenta un supuesto excepcional que categoriza como fundamento político. Viene a referirse a que el Estado, aparte de sumársele la crisis del Estado social y la globalización, se encuentra con que no ha podido regular organizaciones empresariales estructuralmente complejas, lo que no permite una intervención externa directa. Para el autor, dichas empresas se han convertido en “cajas negras” que no pueden regularse legalmente de forma efectiva. La única solución que encuentra a esta problemática es que el Estado alcance “el control del contexto de ciertas organizaciones empresariales complejas” por medio del “Derecho reflexivo”, ya que será decisivo en la legislación española sobre las eximentes y atenuantes.
(10) Ibídem. El autor no descarta las interpretaciones que conciben el fenómeno de la autorregulación como consecuencia de las presiones por parte de empresas y grupos empresariales que ven en la autorregulación un escenario ideal para maximizar sus intereses. En relación con otras explicaciones sobre el avance de la autorregulación, vid. ESTEVE PARDO, J, “El reto de la autorregulación o cómo aprovechar en el sistema jurídico lo que se gesta extramuros del mismo. Mito y realidad del Caballo de Troya” en ARROYO GIMÉNEZ, L y NIETO MARTÍN, A (Dirs.) Autorregulación y sanciones. 2a ed. Aranzadi, Navarra, 2015, pp.44-46.
(11) GÓMEZ MARTÍN, V, “Compliance y derechos de los trabajadores” en KUHLEN, L, MONTIEL, JUAN PABLO y ORTIZ DE URBINA GIMENO, I; Compliance y teoría del Derecho penal. Ed. Marcial Pons, Madrid y otros, 2013, p.126; NIETO MARTÍN, A; La responsabilidad penal, op.cit, pp. 231 y ss.
(12) El supuesto excepcional a la autorregulación regulada es la autorregulación pura. Como índica el término, nos referimos al auto-sometimiento de la entidad privada de su auto-legislación, incluyendo contratos y convenios colectivos. Al tema en cuestión, vid. MAROTO CALATAYUD, M, “Liberalismo vs Neocorporativismo: Los discursos de la autorregulación como discursos legitimantes” en Autorregulación y sanciones 2a ed. Aranzadi, Navarra, 2015, pp. 76-77. El autor emplea una serie de discursos legitimantes de la autorregulación: el argumento de la soberanía, el argumento tecnocrático, el argumento democrático y el argumento del “nuevo Estado regulador”. Sin embargo, es de destacar el primero de los argumentos ya que la auto-legislación y el auto-sometimiento son el núcleo de la autonomía política y de la soberanía, tal como describe el autor al mencionar a KANT y ROUSSEAU como defensores de esta autonomía política y soberanía, por tanto, ya existente en el derecho liberal a la autonomía privada; GÓMEZ-JARA DÍEZ, C, “La incidencia de la autorregulación en el debate legislativo y doctrinal actual sobre la responsabilidad penal de las personas jurídicas” en ARROYO GIMÉNEZ, L y NIETO MARTÍN, A; Autorregulación y sanciones, 2aed. Aranzadi, Navarra, 2015, p. 261. Gómez-Jara Díez plantea la posibilidad de que se produzca una cesión total del ius puniendi por parte del Estado a la organización empresarial para proceder al castigo de las conductas delictivas que se producen en el seno. Es decir, que en virtud de su competencia autorregulatoria, se delega en la propia empresa la potestad de ejercer la punición sobre quienes se encuentran sometidos a su soberanía, es decir, los empleados. Como concluye el autor, “se trata, en definitiva, de los sistemas disciplinarios que existen en el seno de las empresas, y sobre cuyo particular no se puede aquí profundizar debido, entre otras cuestiones, a lo controvertido del tema en el Derecho administrativo”; NIETO MARTÍN, A; La responsabilidad penal, op.cit, p.237.
(13) COCA VILA, I, ¿Programas de cumplimiento..., op.cit, p.51; ARROYO GIMÉNEZ, L, “Introducción a la autorregulación” en ARROYO GIMÉNEZ y NIETO MARTÍN, A; Autorregulación y sanciones. 2a ed. Aranzadi, Navarra, 2015, pp.31 y ss. El autor define la autorregulación como “constelaciones de interrelación entre lo público y lo privado en las que la actividad de autorregulación se mantiene dentro de los límites propios del ejercicio de la libertad privada y que no llega, por tanto, a implicar el ejercicio de potestades públicas”. Se hace referencia a todas las manifestaciones de la autorregulación en sentido amplio, que son objeto de regulación o intervención pública; NIETO MARTÍN, A, “Autorregulación, “compliance” y justicia restaurativa” en Autorregulación y sanciones 2a ed. Aranzadi, Navarra, 2015, p.106. El autor describe la autorregulación regulada como esa intervención que puede ser tanto ex ante, con el objeto de fijar los criterios que debe seguir el sistema de autorregulación, como ex post para comprobar si la autorregulación tiene el grado de calidad necesario. Este modelo, según el autor, trata de centrar la actividad administrativa en la calidad y eficacia del sistema de autorregulación interno. Dentro de ese modelo se encuentra el gobierno corporativo, destinado a la elaboración de códigos de buen gobierno, en especial referencia a las sociedades cotizadas. Para el autor, el gobierno corporativo es sin duda un modelo de autorregulación; GÓMEZ-JARA DÍEZ, C; “Fundamentos de la responsabilidad penal, op.cit, p.94. Para el autor, que la potestad regulatoria se transfiera del Estado a las organizaciones empresariales, tiene como consecuencia, que “determinadas actividades propiamente estatales tales como la implementación de mecanismos para promocionar el cumplimiento de la legalidad y para investigar la vulneración del derecho se transfieran igualmente a las empresas”.
(14) PÉREZ GONZÁLEZ, S; “La función de los compliance programs”, op.cit, p.139
(15) NIETO MARTÍN, A; La responsabilidad penal, op.cit, p.215